| Ivanti Connect Secure | Ivanti | CVE-2024-21894 | CVE-2024-22052 | CVE-2024-22053

Ivanti再度修補VPN系統漏洞,全球恐有逾1.6萬臺設備曝險

上週資安業者Ivanti修補Connect Secure及Policy Secure的高風險漏洞,其中大部分與IPsec元件有關

2024-04-09

| ZTA | 零信任 | moda專欄 | 數位部 | 數發部

【moda專欄】零信任架構

參考美國NIST建議的零信任架構部署模型,我國政府機關採取資源門戶部署(Resource Portal-Based Deployment)方式,對於任何對資通系統之存取皆須透過存取閘道,並將身分鑑別、設備鑑別與信任推斷列為三大核心機制

2024-04-09

| 資安日報 | Hugging Face | Maze | Red CryptoApp | IcedID | Latrodectus | HTTP/2 | CONTINUATION Flood

【資安日報】4月8日,勒索軟體駭客組織Red CryptoApp聲稱入侵超過10個企業組織引起研究人員關注

研究人員最近發現新的勒索軟體駭客組織Red CryptoApp,對方架設資料外洩網站,不僅公布受害組織名稱,並提供資料下載連結

2024-04-08

| IcedID | Latrodectus | IAB

惡意軟體IcedID變種Latrodectus攻擊行動升溫,透過網頁應用程式開發平臺Firebase散布

研究人員揭露名為Latrodectus的惡意程式載入工具,自去年11月迄今至少有2組人馬將其用於攻擊行動,藉此在受害電腦部署更多作案工具

2024-04-08

| 供應鏈 | Pickle | Safetensors | Hugging Face | Python | AI-as-a-Service | AI即服務 | 惡意模型 | 資安 | 漏洞

資安業者Wiz揭露Hugging Face的跨租戶攻擊漏洞

Wiz研究人員發現Hugging Face的共享推論基礎設施以及共享CI/CD含有遭攻擊者接管的資安風險,對此Hugging Face已緩解相關漏洞,並訂定了於平臺上使用Pickle的新政策

2024-04-08

| 資安週報 | 資安一周 | 資安周報 | IT周報 | 網路攻擊 | 零時差漏洞 | 供應鏈攻擊 | 開源軟體安全

【資安週報】2024年4月1日到4月3日

這一星期適逢清明連假,而連假前夕最大條的資安消息,就是關於XZ Utils程式庫被植入後門與漏洞的事件,還有2個漏洞利用要注意,包括AI框架Ray與Android Pixel的漏洞;資安事件焦點方面,以CISA的Ivanti伺服器遭駭,及OWASP基金會資料外洩,最受矚目,臺灣也發生亞昕資訊校務行政系統遭駭、7高中受影響的事件

2024-04-08

| HTTP/2 | CONTINUATION Flood

新型態HTTP/2漏洞遭揭露,網頁伺服器可能因為單一連線而癱瘓

研究人員發現新型態的HTTP/2通訊協定漏洞CONTINUATION Flood,一旦攻擊者加以利用,就可能藉由單一連線,來對網頁伺服器發動DDoS攻擊

2024-04-08

| 勒索軟體 | Red CryptoApp | Maze

勒索軟體駭客組織Red CryptoApp竄起,疑為Maze成員東山再起

研究人員發現新的勒索軟體駭客組織Red CryptoApp(Red Ransomware Group),對方聲稱已成功入侵11個企業組織,並公布竊得資料

2024-04-08

| 軟體供應鏈攻擊 | XZ Utils | SSH | SSHD | CVE-2024-3094 | Debian | Linux | 開源軟體安全 | XZ/liblzma

震撼整個IT界的XZ程式庫遭植入後門事件,之所以浮上檯面純屬意外!快速了解這項危機的三大關鍵

關於日前XZ Utils程式庫被植入隱密後門的事件,儘管整起事件的調查還沒結束,但已有相當多個重要議題被探討,因此我們也特別聯繫了Linux軟體開發與資安方面的專家來解讀,幫助大家掌握3大重要關鍵,尤其是開發人員是如何幸運發現後門的過程,還有攻擊者竟是長期潛伏以取得信任,且引入後門的手法也非常隱密

2024-04-04

| Windows 10 | EOL | 付費延伸安全更新 | ESU

微軟公布Windows 10付費延伸安全更新價格

微軟將在2025年下旬終止支援Windows 10 22H2,目前已公布針對商業及教育版客戶提供的付費延伸安全更新(ESU)方案

2024-04-04

| google | DBSC | Chrome | cookie

Chrome開始測試DBSC功能防禦Cookie劫持攻擊

Google在Chrome Beta測試DBSC功能,透過在工作階段與裝置上綁定金鑰,防止遠端攻擊者濫用偷來的身分驗證Cookie

2024-04-03

| 美國國土安全部 | DHS | 微軟 | 改革 | 資安 | 中國駭客 | 網路攻擊 | 內控

美國政府批評微軟的安全文化不足才遭駭客入侵

去年美國政府官員的電子郵件帳戶因微軟發生資安事故而遭非法存取,促使美國國土安全部展開調查並於近期公布結果,直言微軟資安內控有重大疏失,要求微軟進行根本性的安全改革

2024-04-03